Журналы событий и ошибок системы windows

Очистка, удаление и отключение журнала

На жестком диске файлы журнала занимают сравнительно немного места, тем не менее, у пользователя может возникнуть необходимость их очистить. Сделать это можно разными способами: с помощью оснастки eventvwr, командной строки и PowerShell. Для выборочной очистки вполне подойдет ручной способ. Нужно зайти в журнал событий, кликнуть ПКМ по очищаемому журналу в левой колонке и выбрать в меню опцию «Очистить журнал».

Если вы хотите полностью удалить все записи журнала, удобнее будет воспользоваться запущенной от имени администратора командной строкой. Команда очистки выглядит следующим образом:

for /F «tokens=*» %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl «%1»

Вместо командной строки для быстрой и полной очистки журнала также можно воспользоваться консолью PowerShell. Откройте ее с повышенными правами и выполните в ней такую команду:

wevtutil el | Foreach-Object {wevtutil cl «$_»}

При очистке через PowerShell в журнале могут остаться несколько записей. Это не беда, в крайнем случае события можно удалить вручную.

Итак, мы знаем, как открыть журнал событий, знаем, как его использовать и очищать, в завершение давайте посмотрим, как его полностью отключить, хотя делать это без особой нужды не рекомендуется, так как вместе с журналом событий отключатся некоторые, возможно нужные вам службы.

Командой services.msc откройте оснастку «Службы», справа найдите «Журнал событий Windows», кликните по нему дважды, в открывшемся окошке свойств тип запуска выберите «Отключено», а затем нажмите кнопку «Остановить».

Изменения вступят в силу после перезагрузки компьютера. Вот и все, больше системные и программные события регистрироваться не будут.

Что предпринять если ПК начал работать со сбоями. Появляется Синий экран, ошибки при загрузке системы, непроизвольная перезагрузка? Все такие действия записываются в специальные файлы и сохраняются на ПК. На основе полученных данных устраняются ошибки в работе ОС. Рассмотрим, что такое Журнал событий Windows 7 и как с ним работать.

Сбор данных UAL

В дополнение к командлетам PowerShell, описанным в предыдущем разделе, для получения данных UAL можно использовать 12 дополнительных командлетов:

Get-UalOverview: предоставляет сведения, относящиеся к UAL, а также журнал установленных продуктов и ролей.
Get-UalServerUser: предоставляет данные о доступе пользователя клиента на локальный или целевой сервер.
Get-UalServerDevice: предоставляет данные о доступе устройства клиента на локальный или целевой сервер.
Get-UalUserAccess: предоставляет данные о доступе пользователя клиента к каждой роли или продукту, установленным на локальном или целевом сервере.
Get-UalDeviceAccess: предоставляет данные о доступе устройства клиента к каждой роли или продукту, установленным на локальном или целевом сервере.
Get-UalDailyUserAccess: предоставляет данные о доступе пользователя клиента за каждый день года.
Get-UalDailyDeviceAccess: предоставляет данные о доступе устройства клиента за каждый день года.
Get-UalDailyAccess: предоставляет данные о доступе как пользователя, так и устройства клиента за каждый день года.
Get-UalHyperV: предоставляет данные о виртуальной машине, относящиеся к локальному или целевому серверу.
Get-UalDns: предоставляет специальные данные DNS-клиента локального или целевого DNS-сервера.
Get-UalSystemId: предоставляет специальные системные данные для уникальной идентификации локального или целевого сервера.

предназначен для того, чтобы предоставлять уникальный профиль сервера всем остальным данным с этого сервера для проведения сопоставления с ним. Если на сервере происходят какие-либо изменения одного из параметров , то создается новый профиль. предназначен для того, чтобы предоставлять администратору список установленных и используемых на сервере ролей.

Примечание

Основные возможности службы печати и документов и файловых служб устанавливаются по умолчанию. Поэтому администраторы могут всегда видеть информацию по этим службам, как при установленных полных ролях. Отдельные командлеты UAL входят в состав Hyper-V и службы DNS из-за уникальных данных, которые UAL собирает для этих ролей сервера.

Вариант сценария обычного использования командлетов UAL мог бы быть таким: администратор запрашивает у UAL уникальные клиентские доступы за определенный диапазон дат. Это можно сделать несколькими способами. Далее приводится рекомендуемый метод запроса уникальных доступов устройств за диапазон дат.

Он возвращает подробный список всех уникальных клиентских устройств по IP-адресам, которые совершали запросы к серверу в этот диапазон дат.

Значение «Активитикаунт» для каждого уникального клиента ограничено 65 535 в день. Вызов WMI из PowerShell также необходим только при запросе по дате. Все остальные параметры командлета UAL могут использоваться в рамках запросов PowerShell, как в следующем примере:

UAL позволяет хранить историю в течение двух лет. Чтобы разрешить получение данных UAL администратором при запуске службы, UAL создает копию активного файла базы данных Current. mdb в файле с именем GUID. mdb каждые 24 часа для использования поставщиком WMI.

В первый день года UAL создает новый GUID.mdb. Старый GUID. mdb сохраняется в качестве архива для использования поставщиком. По прошествии двух лет исходный GUID.mdb будет перезаписан.

Важно!

Следующая процедура должна выполняться только опытным пользователем или разработчиком, тестирующими свой собственный инструментарий интерфейсов программирования приложений UAL…

Настройка 24-часового интервала по умолчанию так, чтобы данные стали видимы поставщику WMI

Выполните вход на сервер с помощью учетной записи с правами локального администратора.
Нажмите клавишу с эмблемой Windows + R, а затем введите cmd, чтобы открыть окно командной строки.
Добавьте значение реестра: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\WMI\AutoLogger\Sum\PollingInterval (REG_DWORD).

Предупреждение

Неправильное изменение реестра может серьезно повредить систему. Перед внесением изменений в реестр следует сделать резервную копию всех ценных данных на компьютере.

В следующем примере показано, как добавить двухминутный интервал (не рекомендуется в качестве долгосрочного рабочего состояния). REG ADD HKLM\System\CurrentControlSet\Control\WMI\AutoLogger\Sum /v PollingInterval /t REG_DWORD /d 120000 /F

Единица измерения времени — миллисекунды. Минимальное значение — 60 секунд, максимальное — семь дней, а значение по умолчанию — 24 часа.
Для остановки и перезапуска службы ведения журнала доступа пользователей используйте консоль служб.

Как очистить журнал событий в windows 10

Наверняка, вы знаете о том, что журнал событий в windows 10 представляет собой некое хранилище, которым возможно будет воспользоваться при условии, что необходимо будет взять из данного хранилища конкретную информацию. Понятное дело, что такого плана хранилище весьма практично и удобно для использования, вот только бывают ситуации, когда просто необходимо очистить журнал событий в windows 10. Причин для очистки хранилища может быть очень много и разнообразны они могут быть до невероятности, так что, давайте попытаемся проделать очистку несколькими способами.

Способ № 1 – Ручная очистка журнала событий в windows 10

В данном шаге все будет предельно просто и от вас не потребуется делать что-то сверх глобальное. Просто производим открытие оснастки событий через меню «Пуск» при условии, что мы разворачиваем журнал или же кликаем ПКМ по нужному разделу и соответственно выбираем в открывшемся меню опцию «Очистить журнал…».

Способ № 2 – Очистка журнала событий в windows 10 при помощи командной строки

Если вам нужно очистить журнал событий в windows 10 целиком и полностью, тогда стоит использовать «командную строку». Для этого, производим запуск консоли от имени Администратора и производим в ней выполнение следующей команды: for /F «tokens=*» %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl «%1»

Как только вы пропишите вышеназванную команду и нажмете на клавишу «Enter», то тут же увидите на экране монитор лог действий по удалению всех записей подряд. Если же, вам необходимо используя командную строку очистить не все разделы разом, а только какой-то один, тогда стоит использовать «первоначально команду»: «wevtutil el|more». Которая покажет вам список доступных журналов, а уже после этого, произведите выбор необходимого для удаления журнала и произведите его очистку используя команду: wevtutil.exe cl NameLog

Обратите внимание на то, что в вышеназванной команде, «NameLog» — это имя того журнала, который необходимо будет удалить. Способ № 3 – Очистка журнала событий в windows 10 при помощи PowerShell

Способ № 3 – Очистка журнала событий в windows 10 при помощи PowerShell

Для того, чтоб очистить журнал событий в windows 10, вы можете использовать «PowerShell». Для данного действия вам необходимо произвести запуск консоли от имени Администратора и произвести в ней выполнение связки из пары команд следующего вида: wevtutil el | Foreach-Object {wevtutil cl «$_»}

Обратите внимание, что данный способ позволит вам очистить практически весь журнал событий, кроме нескольких событий, к которым вы не имеете не какого доступа. gold-nm.biz

gold-nm.biz

Общая идея

Одна из целей журнальной системы заключается в централизации управления журналами вне зависимости от источника сообщений. Поскольку существенная часть процесса загрузки и управления службами выполняется процессом , имеет смысл стандартизировать сбор данных для журналов и доступ к ним. Демон собирает данные из всех доступных источников и сохраняет их в двоичном формате для удобного и динамичного управления ими.

Это дает нам ряд существенных преимуществ. Взаимодействуя с данными через одну утилиту, администраторы могут динамически выводить данные журнала в соответствии с их потребностями. Это могут быть как простые задачи, такие как просмотр данных предыдущей загрузки системы, так и более сложные задачи, например, комбинирование записей журналов двух связанных служб для устранения коммуникационной проблемы.

Хранение данных журнала в двоичном формате также означает, что данные можно отображать в произвольном виде в зависимости от того, что требуется в текущий момент. Например, для каждодневного управления журналами вы можете использовать стандартный формат , но если вы захотите составить график перебоев в работе служб, вы можете вывести все записи в формате объектов JSON для экспорта в приложение составления графиков. Поскольку данные не записываются на диск в формате обычного текста, их не нужно будет конвертировать, если вам потребуется другой формат вывода.

Журнальную систему можно использовать вместе с существующей реализацией , или в качестве функциональной замены , если вам это потребуется. Хотя журнальная система способна удовлетворить большинство потребностей администратора, ее также можно использовать в качестве дополнения к существующим механизмам ведения журнала. Например, вы можете использовать централизованный сервер для компиляции данных с нескольких серверов, но при этом также чередовать журналы нескольких служб одной системы с журналом . Объединив эти технологии, вы можете выполнить обе задачи.

Журнал событий windows 7

Здравствуйте Друзья! В этой статье рассмотрим журнал событий windows 7. Операционная система записывает практически всё, что с ней происходит в этот журнал. Просматривать его удобно с помощью приложения Просмотр событий, которое устанавливается вместе с windows 7. Сказать что записываемых событий много — ничего не сказать. Их тьма. Но, запутаться в них сложно так как все отсортировано по категориям.

Благодаря журналу событий специалистам и простым пользователям гораздо легче найти ошибки и исправить ее. Говоря легче я не имел в виду легко. Практически всегда для исправления повторяющейся ошибки придется сильно пользоваться поиском и перечитать кучу материала. Иногда это стоит того, чтобы избавиться от нестандартного поведения операционной системы.

Запуск и обзор утилиты Просмотр событий

Чтобы операционная система успешно заполняла журналы событий необходима чтобы работала служба Журнал событий windows за это отвечающая. Проверим запущена ли эта служба. В поле поиска главного меню Пуск ищем Службы

Находим службу Журнал событий windows и проверяем Состояние — Работает и Тип запуска — Автоматически

Если у вас эта служба не запущена — дважды кликаете на ней левой мышкой и в свойствах в разделе Тип запуска выбираете Автоматически. Затем нажимаете Запустить и ОК

Служба запущена и журналы событий начнут заполняться.

Запускаем утилиту Просмотр событий воспользовавшись поиском из меняю Пуск

Утилита по умолчанию имеет следующий вид

Многое здесь можно настроить под себя. Например с помощью кнопок под областью меню можно скрыть или отобразить Дерево консоли слева и панель Действия справа

Область по центру внизу называется Областью просмотра. В ней показываются сведения о выбранном событии. Ее можно убрать сняв соответствующую галочку в меню Вид или нажав на крестик в правом верхнем углу области просмотра

Главное поле находится по центру вверху и представляет из себя таблицу с событиями журнала который вы выбрали в Дереве консоли. По умолчанию отображаются не все столбцы. Можно добавить и поменять их порядок отображения. Для этого по шапке любого столбца жмем правой мышкой и выбираем Добавить или удалить столбцы…

В открывшемся окошке в колонку Отображаемые столбцы добавляете необходимые столбики из левого поля

Для изменения порядка отображения столбцов в правом поле выделяем нужный столбец и с помощью кнопок Вверх и Вниз меняем месторасположение.

Открытие файла

Посмотреть последние действия на компьютере получится с помощью записей о неполадках. Он не может быть пустым, так как сообщения об ошибках возникают даже на нормально функционирующем устройстве. Есть два способа запустить данную оснастку – из Панели управления Windows и с помощью командной строки. Чтобы открыть журнал событий windows 7, не запуская командную строку, повторите алгоритм:

Пройдите по пути Пуск à Панель управления à Система и обслуживание à Администрирование;
В открывшемся окне найдите Просмотр событий;
Сделайте двойной клик;

Второй способ того, как посмотреть журнал посещений на компьютере – запустить его с помощью командной строки. Способ подходить для любых версий ОС от ХР и выше. Запустите командную строку, зажав Win+R и введя в открывшемся окне cmd. Еще один способ – пройти по пути Пуск à Все программы à Стандартные à Командная строка. В открывшееся поля командной строки введите комбинацию eventvwr.

Есть способ найти журнал посещений на компьютере вручную. Это файл формата .msc с именем Eventvwr. Его можно найти в поисковике ОС или в папке Sustem32. Папка расположена на локальном диске С, в директории Windows/ProgramFiles/%SYSTEMROOT%. Открывается файл двойным щелчком с помощью стандартных средств Windows.

Как синхронизировать шкалу времени на разных компьютерах

«Временная шкала»

включена по умолчанию, но она ничего не синхронизирует с облачным хранилищем, пока вы не предоставите ей соответствующее разрешение. Если вы укажите операционной системе«Windows10», чтобы она синхронизировала ваши действия с персонального компьютера в облако, то вы сможете увидеть эти действия на любых других компьютерах, на которые вы войдете с той же учетной записью«Microsoft», как и на основном компьютере.

Для этого вам не нужно включать функцию синхронизации компьютера с облаком на каждом персональном компьютере. Например, вы можете включить синхронизацию на рабочем компьютере, но не включать ее на своем ноутбуке. Вы увидите действия своего рабочего компьютера во временной шкале в своем ноутбуке. Но вы не увидите действия вашего ноутбука во временной шкале на рабочем компьютере, до тех пор, пока не включите синхронизацию на вашем ноутбуке.

Чтобы включить синхронизацию, прокрутите страницу к нижней части «Временной шкалы» и нажмите кнопку «Включить» в разделе «Показать больше дней на временной шкале».

Вы также можете включить синхронизацию ваших действий в приложении «Параметры», установив флажок в ячейке«Разрешить Windows синхронизировать мои действия с этого компьютера в облако»(ниже мы опишем возможные способы доступа к требуемому разделу приложения«Параметры»).

Журнал событий Виндовс (Windows) 7 — как работать

Откроется окно приложения: Интерфейс разделен на три части:

Слева данные отсортированы по параметрам;
В центре отображаются события. Нажав по ним откроется подробная информация;
Действия. Позволяют отфильтровать события.

Какую информацию можно посмотреть

Журнал событий в Windows 7 делится на категории:

Журналы ОС. Находится информация связанная с работой ОС;
Приложения и службы. Данные о программах и службах.

Рассмотрим основные:

Приложение. Сохраняются данные про утилиты устанавливаемые ОС;
Безопасность. Данные о входе и выходе из ОС, доступ к ресурсам;
Установка. Если компоненты ОС не менялись он будет пустым;
Система. Записываются важные события. Например, сетевые оповещения;
Перенаправление;
IE. Данные, связанные с этим встроенным обозревателем.

Как работать

Нажав на событии, отобразится информация о нем, помогающая найти решение проблемы в интернет. Появятся такие данные:

Имя;
Источник. Название процесса, который сгенерировал ошибку;
Код. Поможет найти информацию в интернет;
Подробности.

Остальные данные обычно не используются.

Просмотр

Посмотрите проблемы, связанные с быстродействием ПК. Перейдите: Далее: Посмотрите ошибки, которые привели к замедлению загрузки ОС.

Использование фильтра

Информации утилита предоставляет много. В ней сложно ориентироваться. Как отобразить только важные данные? Нажмите справа ссылку «Создать представление». Отметьте пункты как на скриншоте.

Как почистить все журналы windows с помощью скрипта

просмотр журнала событий

Иногда чтобы посмотреть появляется какая либо ошибка или событие, трудно бывает искать его среди кучи событий, можно конечно фильтровать, но проще все очистить. Чистить в ручную долго и муторно, предлагаю скрипт который почистит все журналы windows. Перед выполнением скрипта советую в просмотре событий сохранить логи windows для дальнейшего изучения, много раз было, что старые файлы оказываются, очень нужны, учитесь на чужих ошибках, а лучше их вообще не совершайте.

До очистки видим, что в логах windows много событий

Выполняем скрипт, выполнять нужно от имени администратора.

После, результат на лицо все логи windows удалены в оснастке просмотр событий, и вы только обнаружите событие о том кто и когда произвел удаление.

вот сам текст скрипта

@echo off FOR /F «tokens=1,2*» %%V IN (‘bcdedit’) DO SET adminTest=%%V IF (%adminTest%)==(Access) goto noAdmin for /F «tokens=*» %%G in (‘wevtutil.exe el’) DO (call :do_clear «%%G») echo. echo goto theEnd :do_clear echo clearing %1 wevtutil.exe cl %1 goto :eof :noAdmin

exit

Скачать сам скрипт

Как видите логи windows очень быстро и легко удаляются скриптом, если нужно массово зачистить вешаем его в планировщике заданий. Так же советую ознакомится с методом Как очистить просмотр событий с помощью PowerShell

Материал сайта pyatilistnik.org

pyatilistnik.org

Как использовать содержимое журнала

Хорошо, теперь мы в курсе, где находится журнал событий и как его открыть, осталось узнать, как его можно использовать. Сразу нужно сказать, что в силу своей специфичности содержащиеся в нем сведения мало что могут поведать обычному пользователю. О чем говорит, к примеру, ошибка «Регистрация сервера {BF6C1E47-86EC-4194-9CE5-13C15DCB2001} DCOM не выполнена за отведенное время ожидания»? Не обладающему соответствующими знаниями юзеру будет непросто определить причину неполадки, с другой стороны, что мешает поискать ответ в Интернете?

Так, описание приведенной выше ошибки имеется на сайте Microsoft и указывает оно на проблемы со SkyDrive, кстати, не представляющие совершенно никакой угрозы. Если вы не пользуетесь этим сервисом, ошибку можно игнорировать или отключить ее источник в «Планировщике заданий». А еще описание ошибки можно отправить разработчику, предварительно сохранив его в файл XML, CSV или TХT.

Также пользователи могут связывать отслеживаемые события с задачами в «Планировщике заданий». Для этого необходимо кликнуть ПКМ по записи, выбрать «Привязать задачу к событию» и создать с помощью запустившегося мастера нужное задание. В следующий раз, когда произойдет такое событие, система сама запустит выполнение задания.

Просмотр событий Одиночная запись в журнале Удалить идею

Проанализировав формат записи событий, я узнал, что когда система Windows анализирует журнал записей событий, она читает содержимое журнала по очереди в соответствии с размером записи событий. Предположим, вы изменили длину журнала так, чтобы длина покрывала следующий журнал. Теоретически, когда система Windows анализирует журнал, она пропустит следующий журнал, что эквивалентно «удалению» следующего журнала. Eventlogedit в DanderSpritz является этой идеей, только степень модификации, но на самом деле не удаляет содержимое журнала. Идея реализации заключается в следующем:

Описание интерфейса программы

Окно программы состоит из следующих компонентов:

Панель навигации позволяет выбрать конкретный журнал, записи которого необходимо просмотреть;
Список событий, содержащийся в выбранном журнале. В колонках выведена базовая информация о событии. Их можно отсортировать по датам, типам, категориям событий и т.д.;
Детальная информация о выбранном во второй панели событии. Также детальную информацию можно открыть в отдельном окне, если кликнуть по нужному событию два раза;
Панель быстрых действий, которые можно совершить с данным журналом или событием. Действия также доступны в контекстном меню (клик правой кнопкой мыши по журналу или событию).

Для удобства просмотра и управления системные журналы разбиты по категориям:

Приложения (Application) – как и гласит название, содержит события и ошибки приложений;
Безопасность (Security) – если в операционной системе включена и настроена функция аудита, журнал будет содержать записи, связанные с отслеживанием соответствующих событий (например, авторизация пользователя или попытки неудачного входа в операционную систему);
Система (System) – здесь регистрируются события операционной системы и системных сервисов;
Установка (Setup) – события, связанные с инсталляцией обновлений Windows, дополнительных приложений.

В разделе Журналы приложений и служб (Applications and Services Logs) можно найти более детальную информацию о событиях отдельных служб и приложений, зарегистрированных в операционной системе, что бывает полезно при диагностике проблем в работе отдельных сервисов.

Сами события также разделяются на типы:

Сведения (Information) — информируют о штатной работе приложений.
Предупреждение (Warning) — событие, свидетельствующее о возможных проблемах в будущем (например, заканчивается свободное место на диске – приложения могут продолжать работу в штатном режиме, но когда место закончится совсем, работа будет невозможна).
Ошибка (Error) — проблема, ведущая к деградации приложения или службы, потерям данных.
Критическое (Critical) — значительная проблема, ведущая к неработоспособности приложения или службы.
Аудит успеха (Success audit) — событие журнала Безопасность (Security), обозначающее успешно осуществленное действие, для которого включено отслеживание (например, успешный вход в систему).
Аудит отказа (Failure audit) — событие журнала Безопасность (Security) обозначающее безуспешную попытку осуществить действие, для которого включено отслеживание (например, ошибка входа в систему).

Подписка на события

Как говорилось выше, программа «Просмотр событий» позволяет просматривать события всех компьютеров локальной сети на любом компьютере, даже удаленном. Система может получать копии событий, зарегистрированных на различных удаленных компьютерах, и сохранять их локально. Для реализации этих действий нужно создавать пересылки и сбор событий, а также создавать подписки.

Для пересылки событий необходимо включить и настроить ее на компьютерах, а затем определить подписки. Для того чтобы настроить пересылку и сбор пересылаемых событий, выполните следующие действия:

Войдите в систему всех компьютеров-сборщиков и компьютеров-источников событий. Для этого желательно использовать учетную запись домена с правами администратора.
Настройте автоматический запуск с задержкой для службы «Удаленное управление Windows», далее WinRM;
Запустите службу WinRM;
Создайте прослушиватель WinRM;
Добавьте учетную запись компьютера-сборщика данных к локальной группе «Администраторы» на каждом компьютере-источнике событий;
Разрешите исключение брандмауэра WinRM, если в системе включен брандмауэр.

Подробно о настройке компьютеров для пересылки и сбора событий средствами командной строки будет рассказано в третей части статьи.

Создание подписок

После настройки пересылки и сбора событий на компьютерах для того чтобы можно было получать пересылаемые события, создайте одну или несколько подписок на события. Для того чтобы создать подписку на события, выполните следующие действия:

На компьютере, который будет выполнять сбор событий, войдите в систему с правами администратора и откройте оснастку «Просмотр событий». Затем или нажмите правой кнопкой мыши на узле «Просмотр событий» для вызова контекстного меню и выберите команду «Подключиться к другому компьютеру», или в диалоговом окне «Выбор компьютера» введите имя, IP-адрес или полное доменное имя нужного компьютера в поле «Другой компьютер» и нажмите на кнопку «ОК»;

Нажмите правой кнопкой мыши на узле «Подписки» и из контекстного меню выберите команду «Создать подписку»;

В окне «Свойства подписки» введите имя подписки в поле «Название подписки». При желании в поле «Описание» можете ввести описание для созданной подписки;
В диалоге создания подписок по умолчанию конечным журналом является «Пересылаемые события». Имя журнала можно изменить в том случае, если это необходимо.
Для указания компьютера, пересылающего события на сервер, нажмите на кнопку «Выберите компьютеры» и в появившемся диалоговом окне выберите «Добавить доменный компьютер». В этом окне выберите нужный компьютер, после чего нажать на кнопку «ОК»;

Нажмите на кнопку «Выбрать события» и выберите команду «Изменить» для открытия «Фильтра запроса».
Выберите уровень событий при помощи флажков «Уровень событий». Для того чтобы отфильтровать один или несколько журналов, поставьте переключатель на опцию «По журналу» и в списке «Журналы событий» выберите нужные для вас журналы. В том случае, если вам будет нужно отфильтровывать журналы по источнику событий, то вы можете выбрать источники из списка «Источники событий». Параметр «По источнику» лучше оставить включенным.
Изначально служба сборщика событий использует для чтения исходных журналов учетную запись компьютера-сборщика событий. Для того чтобы указать другие учетные данные, нажмите на кнопку «Дополнительно». В диалоговом окне «Дополнительные параметры подписки» установите переключатель на учетную запись пользователя — «Определенный пользователь», а затем нажмите на кнопку «Пользователь и пароль», где нужно будет ввести учетные данные. Нажмите на кнопку «ОК».

Нажмите на кнопку «ОК». Подписка будет создана и добавлена в узел «Подписки» и, если операция была успешной, подписка будет иметь состояние «Активный».

Управление подписками

После того как будет создана подписка, копьютеры-источники будут пересылать события, которые располагаются в заданных журналах. Для просмотра подписок в программе «Просмотр событий» выберите узел «Подписки». Из перечня подписок выберите нужную для вас и выберите команду из меню «Действие» или из контекстного меню подписки. Доступны следующие команды:

Свойства – открывает диалог настройки свойств подписки. Здесь можно изменить все свойства выбранной подписки, кроме имени и типа.
Отключить – отключает выбранную подписку, прекращая пересылку и сбор событий.
Включить – включает отключенную подписку, после чего возобновляется пересылка и сбор событий.
Состояние выполнения – выводит состояние выполнения подписки.
Удалить – удаляет выбранную подписку.